ZachXBT: «todas las hardware wallets son pura basura»

El investigador on chain ZachXBT calificó a las wallets de hardware como «basura total» y recomendó, en un mensaje difundido en su canal de Telegram este 15 de julio, reemplazarlas por un iPhone cuyo único uso sea firmar transacciones y guardar fondos. El propio investigador presentó su postura como un «hot take» o opinión polémica, aunque eso no le impidió instar a dejar de usar wallets físicas para operaciones importantes.

Todas las carteras de hardware son pura basura y no recomiendo usarlas para tareas importantes como firmar transacciones o almacenar fondos. Es mucho mejor tener un iPhone separado cuyo único propósito sea servir como tu cartera de hardware. (Solo haz esto si no eres de bajo coeficiente intelectual).

ZachXBT, investigador on chain.

Dentro de ese mismo mensaje, ZachXBT apuntó en particular contra Ledger, aunque no profundizó en los errores concretos que vienen junto a las actualizaciones que denuncia: «Ledger es lo peor y Ledger Live saca actualizaciones constantes de la interfaz y las apps sin ningún motivo que terminan rompiendo acciones básicas».

Antecedentes técnicos que ZachXBT no citó

ZachXBT presentó su crítica a Ledger sin datos ni casos concretos, algo que el propio investigador reconoció al enmarcarla como una opinión polémica y no como un señalamiento técnico. La empresa francesa acumula, sin embargo, un registro público en donde pueden conocerse las vulnerabilidades halladas y documentadas por su propio equipo de seguridad, Ledger Donjon.

Por ejemplo, el 10 de enero de 2025, Ledger Donjon publicó el boletín LSB 021, sobre una falla en el proceso de actualización de firmware que permitía a un atacante fijar, sin validación, la dirección de reinicio (reset handler) del dispositivo, dejándolo inutilizable de forma permanente. Según la propia empresa, «el impacto se limita a la operatividad del dispositivo» y los fondos de los clientes «nunca estuvieron en riesgo». El fallo se corrigió en las versiones Nano X 2.4.2, Flex 1.2.2 y Stax 1.6.2 en adelante.

Asimismo, este 15 de julio, el sitio de estado de Ledger reportó un servicio degradado de la red principal de Cardano dentro de Ledger Wallet, que impedía enviar transacciones, agregar cuentas o ver saldos e historial de movimientos en esa red. El incidente, resuelto horas más tarde según la propia empresa, no fue un caso aislado. Según datos del agregador de estado IsDown, Ledger registró 61 incidentes de este tipo en los últimos 90 días (55 caídas mayores y 6 menores), con una duración media de 44 minutos cada uno.

Por otro lado, y pese los episodios de Ledger y a las advertencias de ZachXBT, el uso de las wallet de hardware contempla ventajas como por ejemplo firmar las transacciones sin conexión a internet y sin exponer la clave privada al dispositivo que se usa para navegar o instalar aplicaciones. Además, en muchas hardware wallets, la clave privada que firma las transacciones se genera y permanece dentro de un chip de seguridad diseñado para resistir la extracción física (elemento seguro, SE).

Ese diseño impide que un atacante con acceso físico al dispositivo, o un software malicioso instalado en la computadora conectada, pueda leer o copiar la clave privada aunque logre comprometer el resto del sistema. Además, cada operación exige una confirmación manual en la pantalla del dispositivo, un paso que impide que ese mismo software altere la dirección de destino sin que el usuario lo note.

La respuesta: un teléfono también puede fallar

El analista Axel Bitblaze respondió al mensaje de ZachXBT y coincidió con la premisa central, pero advirtió que un solo iPhone sigue siendo un único dispositivo y una única frase semilla, es decir, un punto único de falla. «Un iPhone separado por sí solo te sigue dejando con un dispositivo y una semilla como único punto de falla», planteó, y propuso en cambio dividir la custodia entre tres firmantes distintos, ninguno de los cuales debería ser la wallet de uso diario.

La propuesta de Bitblaze consiste en crear tres firmantes nuevos (un iPhone dedicado, un segundo teléfono o wallet de hardware, y un tercer dispositivo de respaldo guardado en otro lugar) y configurarlos como una multisig (firma múltiple) 2 de 3 en Safe, una interfaz para administrar wallets de este tipo en la red Ethereum y otras redes compatibles.

Bajo ese esquema, según explicó, «cualquier transacción necesita la aprobación de dos dispositivos separados antes de que los fondos puedan moverse».

Antes de mover fondos importantes, Bitblaze recomienda probar todo el circuito con un monto pequeño, confirmar que la multisig lo recibe y lo puede reenviar aprobando desde dos firmantes distintos, y recién después trasladar el resto del saldo en varios lotes, no de una sola vez.

Otra comparación: el enclave seguro de Apple contra el elemento seguro de Ledger

El analista conocido como The Smart Ape también respondió al planteo de ZachXBT y coincidió en que un iPhone de repuesto puede ser, en los hechos, más seguro que un dispositivo de Ledger.

Como argumento central, comparó los programas de recompensas por encontrar vulnerabilidades (bug bounty, en inglés) de ambas compañías. Según su planteo, Apple paga hasta USD 2.000.000 por una cadena de exploits (o hasta USD 5.000.000 con bonificaciones), mientras que la recompensa de Ledger por una falla crítica ronda los USD 10.000, una brecha de 200 veces entre lo que cada empresa invierte en encontrar sus propias fallas. Los montos podrían revelar la facilidad que existe en encontrar fallas entre las distintas empresas.

El analista también repasó lo que llamó el historial de Ledger, la filtración de datos de usuarios en 2020, la controversia de 2023 en torno a la función Ledger Recover (que demostró que era técnicamente posible extraer una copia cifrada de la semilla desde el elemento seguro mediante una actualización de firmware, aunque el servicio fuera opcional) y el ataque de diciembre de 2023 contra la librería Connect Kit, que dejó a usuarios con fondos drenados por un valor que The Smart Ape estimó en unos USD 600.000.

Finalmente, frente a ese historial, The Smart Ape sostuvo que el enclave seguro (Secure Enclave, el componente equivalente al elemento seguro dentro de los iPhone) fue blanco de los programas de vigilancia estatal Pegasus y Triangulation durante una década, sin que hasta ahora exista un caso público de extracción de claves desde un dispositivo actualizado. Su recomendación práctica fue comprar un iPhone usado, resetearlo de fábrica, mantenerlo siempre en modo avión y usarlo exclusivamente como bóveda offline, firmando mediante códigos QR.